Sverige behöver hårdare krav på cybersäkerhet. Men en reform som främst gör oss bättre på att dokumentera haverier är inte samma sak som en reform som förhindrar dem. Det svenska genomförandet av EU:s NIS2-direktiv bör därför bedömas efter faktisk motståndskraft, inte efter hur många rapporter företag och myndigheter skickar in.
Det är en viktig skillnad. Ransomware hör enligt EU:s cybersäkerhetsbyrå Enisa fortsatt till de mest betydande cyberhoten mot organisationer i unionen. Ett angrepp kan slå ut drift, sprida sig genom leveranskedjor och göra information till föremål för utpressning. När vård, energi, transporter, vattenförsörjning eller digital infrastruktur drabbas räcker det inte att ansvariga har fyllt i rätt formulär.
NIS2 är mer än rapportering
Kritiken ska samtidigt riktas rätt. NIS2 är inte konstruerat som en ren rapporteringslag. Direktivet ställer krav på bland annat riskanalys, incidenthantering, kontinuitet, krisberedskap, leveranskedjesäkerhet, utbildning, åtkomstkontroll och flerfaktorsautentisering. Ledningsorgan ska godkänna och övervaka säkerhetsåtgärderna samt genomgå utbildning.
Problemet ligger alltså inte nödvändigtvis i direktivets grundmodell, utan i risken för ett svenskt genomförande där det som är lättast att kontrollera också blir det som prioriteras. Dokument finns eller saknas. Rapporten kom in i tid eller gjorde det inte. Rutan är ikryssad eller tom. Sådant går att mäta, men säger inte alltid om en verksamhet kan fortsätta fungera under ett angrepp.
NIS2 kräver en tidig varning om en betydande incident inom 24 timmar, en incidentanmälan inom 72 timmar och som huvudregel en slutrapport senast en månad efter incidentanmälan. Det är snäva tidsramar, men de har ett legitimt syfte. Snabb rapportering kan ge myndigheter en bättre lägesbild, avslöja pågående angrepp och hjälpa andra organisationer att skydda sig.
Rapportering är därför inte meningslös byråkrati. Men den är ett verktyg, inte slutmålet. Fler incidentrapporter kan betyda fler angrepp, men också bättre upptäckt och större vilja att rapportera. Färre rapporter kan lika gärna vara ett tecken på underrapportering som på högre säkerhet.
Mät förmågan att stå emot
Reformens resultat bör i stället följas genom frågor som går närmare verksamheten. Hur lång tid tar det att upptäcka ett intrång? Hur snabbt kan driften återställas? Är säkerhetskopiorna faktiskt möjliga att läsa tillbaka? Har kontinuitetsplanerna testats? Används flerfaktorsautentisering där den gör störst nytta? Känner ledningen till verksamhetens kritiska leverantörsberoenden?
Dokumentation kan vara värdefull när den synliggör ansvar, tillgångar och beroenden. Den blir en belastning först när den duplicerar annat arbete eller aldrig leder till åtgärder. Det är därför tillsynen måste kunna skilja en välformulerad säkerhetspolicy från en fungerande säkerhetsförmåga.
NIS2 ger behöriga tillsynsmyndigheter verktyg som inspektioner, revisioner, säkerhetsskanningar, informationskrav och bindande instruktioner. Direktivet medger också kännbara sanktionsavgifter. För väsentliga verksamheter ska det högsta möjliga taket vara minst 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket belopp som är högst.
Men starka befogenheter på papperet hjälper föga om de ansvariga myndigheterna saknar rätt kompetens, tydliga mandat eller uthållig finansiering. Samtidigt måste tillsynen vara proportionerlig. Om mindre aktörer tvingas lägga oproportionerligt mycket på juridisk rådgivning och defensiv dokumentation kan pengar trängas undan från patchning, utbildning, säkerhetskopiering och incidentberedskap.
NCSC är inte en tillsynsmyndighet
Ansvarsfördelningen måste också beskrivas korrekt. Nationellt cybersäkerhetscenter, NCSC, är enligt sin offentliga beskrivning en samverkansfunktion mellan flera svenska myndigheter. Centrets uppgift är bland annat att stärka förmågan att förebygga, upptäcka och hantera antagonistiska cyberhot samt att ge stöd och vägledning. NCSC är inte i sig en fristående myndighet med ett allmänt lagstadgat tillsynsansvar.
CERT-SE, som finns vid MSB, är Sveriges nationella funktion för stöd vid hantering av it-incidenter och tar emot incidentrapporter. Den formella tillsynen måste däremot vila på de myndigheter som pekas ut i svensk lag och förordning. Sektorsmyndigheter kan dessutom ha den sakkompetens som krävs för att förstå riskerna inom exempelvis energi, vård och transporter.
Det vore därför fel att göra NCSC till en bekväm etikett för allt från hotinformation och incidentstöd till tillsyn och sanktioner. Sverige behöver en tydlig kedja där nationell samordning, operativt stöd och myndighetsutövning hänger ihop utan att rollerna blandas samman.
De mindre leverantörerna får inte glömmas
Små företag omfattas som huvudregel inte automatiskt av NIS2, även om det finns undantag för särskilt kritiska aktörer. Ändå kan kraven nå dem indirekt. Större verksamheter måste hantera riskerna i sina leveranskedjor och kommer därför att ställa högre krav på underleverantörer.
Det är i grunden rimligt. En liten leverantör kan utgöra en avgörande länk i en samhällsviktig tjänst. Men krav utan praktiskt stöd riskerar att gynna dem som har råd med konsulter snarare än dem som faktiskt bygger bra säkerhet. Vägledningar, gemensamma verktyg, tydliga minimikrav och tillgång till kvalificerat incidentstöd är därför minst lika viktiga som nya skyldigheter.
Ledningen måste bära ansvaret
NIS2 gör också klart att cybersäkerhet inte enbart är en fråga för it-avdelningen. Ledningen ska godkänna och övervaka riskhanteringsåtgärderna. Det är nödvändigt, eftersom besluten handlar om investeringar, upphandling, bemanning, kontinuitet och vilka risker en verksamhet är beredd att ta.
Ett otydligt personligt ansvar kan visserligen skapa defensiv dokumentation och en rädsla för att rapportera misstag. Därför måste den svenska modellen utformas rättssäkert och proportionerligt. Men alternativet – att ledningen kan behandla cyberrisker som någon annans tekniska problem – är sämre.
Sverige skulle ha införlivat NIS2 senast den 17 oktober 2024, och EU-kommissionen har inlett ett överträdelseförfarande med anledning av det ofullständiga införlivandet. Förseningen får inte bli ett skäl att hasta fram en ordning som bara uppfyller formella krav.
Den verkliga framgången kommer inte att kunna avläsas i antalet blanketter, styrdokument eller sanktionsbeslut. Den visar sig den dag ett angrepp inträffar och samhällsviktig verksamhet ändå kan fortsätta, skadan begränsas och driften återställas. Det är den måttstock som den svenska cybersäkerhetsreformen måste tåla.
